Azure P2S ক্লায়েন্ট প্রমাণীকরণ: Entra, সার্টিফিকেট নাকি RADIUS
Entra সাইন-ইন, ক্লায়েন্ট সার্টিফিকেট ও RADIUS-এর জন্য আলাদা Azure VPN ক্লায়েন্ট ও প্রোফাইল দরকার। আগে পদ্ধতি, তারপর ক্লায়েন্ট, শেষে প্রোফাইল বেছে নিন।
ইনস্টলার চলে, প্রোফাইল ইমপোর্ট হয়, কিন্তু সাইন-ইন ধাপে সংযোগ ব্যর্থ হয়। এই টিকিটগুলোর বেশিরভাগই ক্লায়েন্টের বাগ নয়: OpenVPN-সামঞ্জস্যপূর্ণ অ্যাপ্লিকেশন টানেল বহন করতে পারে, তবুও Microsoft Entra সাইন-ইন কীভাবে করতে হয় তা জানে না। যে ক্রমটি লুপ এড়ায় তা হলো পদ্ধতি, তারপর ক্লায়েন্ট, তারপর প্রোফাইল। গেটওয়ে যে প্রমাণীকরণ পদ্ধতির জন্য কনফিগার করা আছে সেটি বেছে নিন, সেই পদ্ধতির জন্য Microsoft যে ক্লায়েন্ট নথিভুক্ত করে সেটি বেছে নিন, এবং কেবল তারপর সেই ক্লায়েন্ট যে প্রোফাইল প্রত্যাশা করে তা তৈরি করুন। নিচের সবকিছু এই ক্রম অনুসরণ করে।
ইনস্টলার থেকে নয়, পদ্ধতি থেকে শুরু করুন
গেটওয়ে এক বা একাধিক টানেল ধরন ও প্রমাণীকরণ পদ্ধতি দিয়ে কনফিগার করা থাকে। আপনার ডেস্কটপে থাকা ফাইল এক্সটেনশন নয়, বরং এই জোড়াই নির্ধারণ করে কোন ক্লায়েন্ট সমর্থিত।
কিছু ডাউনলোড করার আগেই জোড়াটি লিখে রাখুন, কারণ সমর্থন ম্যাট্রিক্স সংকীর্ণ এবং ভুল শুরুতে একটি দুপুর নষ্ট হয়।
ডিপ্লয়মেন্ট নোটে আমি যে ম্যাপিং রাখি তা এখানে:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
এই সারণীটিকে মেনু নয়, সীমাবদ্ধতা হিসেবে পড়ুন। প্রতিটি সারি একটি নথিভুক্ত সমন্বয়, এবং এক সারির ক্লায়েন্টকে অন্য সারির পদ্ধতির সঙ্গে মেশানোই সেই ভুল যা প্রতিরোধ করতে এই নিবন্ধটি আছে।
Entra ID মানে OpenVPN প্লাস Azure VPN Client
পয়েন্ট-টু-সাইটে Entra প্রমাণীকরণের জন্য সমর্থিত বিন্যাসে OpenVPN টানেল ধরন ও Azure VPN Client ব্যবহার করা হয়। সাধারণ ব্যবহারকারী নাম ও পাসওয়ার্ড ডায়ালগ সেই ইন্টিগ্রেশনের বিকল্প নয়, এবং Windows-এর নেটিভ IKEv2 একই লগইন করার বিনিময়যোগ্য উপায় নয়। যদি তৃতীয় পক্ষের ক্লায়েন্ট Entra বা Azure AD অপশন দেয়, তবে লেবেলের বদলে Microsoft-এর বর্তমান ডকুমেন্টেশনের সঙ্গে যাচাই করুন। লেবেল হলো বিপণন, আর নথিভুক্ত সমন্বয় হলো চুক্তি।
macOS-এও Azure VPN Client এই পদ্ধতির নথিভুক্ত পথ।
সার্টিফিকেটের জন্য ক্লায়েন্ট ক্রেডেনশিয়াল দরকার, শুধু রুট নয়
সার্টিফিকেট প্রমাণীকরণ একটি আলাদা সমর্থিত মডেল, এবং এটি Microsoft যে OpenVPN ক্লায়েন্ট নথিভুক্ত করে এবং সমর্থিত প্ল্যাটফর্মে Azure VPN Client-এর সঙ্গে কাজ করে। Windows-এ Azure VPN Client শুধু Entra-র জন্য নয়: এর নথিভুক্ত সার্টিফিকেট ওয়ার্কফ্লোও আছে। এর যা দরকার তা হলো গেটওয়ে যে নির্ধারিত ক্লায়েন্ট সার্টিফিকেটকে বিশ্বাস করে, ব্যবহারযোগ্য প্রাইভেট কীসহ সেটি। গেটওয়ের বিশ্বস্ত রুট ক্লায়েন্ট ক্রেডেনশিয়াল নয়, এবং ইস্যুয়ারের সাইনিং কী কখনো ক্লায়েন্ট প্যাকেজে থাকে না।
প্রোফাইল ডিবাগ করার আগে চেইন যাচাই করুন। গেটওয়ে যে রুটকে বিশ্বাস করে না তা থেকে জারি করা সার্টিফিকেট এমন ব্যর্থতা দেয় যা খারাপ প্রোফাইলের মতো দেখায়, আসলে তা বিশ্বাসের সমস্যা।
প্ল্যাটফর্ম যেখানে অনুমতি দেয় সেখানে প্রাইভেট কী নন-এক্সপোর্টেবল রাখুন, এবং বর্তমান ব্যবহারকারীর জন্য প্রকৃতপক্ষে ইনস্টল করা সার্টিফিকেট দিয়ে পরীক্ষা করুন।
RADIUS হলো নিজস্ব সমন্বয়সহ একটি ব্যাকএন্ড পছন্দ
RADIUS ক্রেডেনশিয়ালের সিদ্ধান্ত আপনার চালানো সার্ভারে সরিয়ে দেয়, এবং এটি নির্দিষ্ট টানেল ধরন ও ক্লায়েন্টের সঙ্গে নথিভুক্ত। এস্টেটে একাধিক অপারেটিং সিস্টেম থাকায় এটি স্বয়ংক্রিয়ভাবে সঠিক উত্তর নয়। গেটওয়ের প্রমাণীকরণ নীতি বদলানোর আগে প্রকৃত ক্লায়েন্ট কী উপস্থাপন করতে পারে তা চিহ্নিত করুন, কারণ গেটওয়েকে RADIUS-এ বদলালে প্রতিটি বিদ্যমান প্রোফাইল স্বয়ংক্রিয়ভাবে মানিয়ে যায় না। ক্লায়েন্টকে এখনও সেই ক্রেডেনশিয়াল চাইতে বা সরবরাহ করতে সক্ষম হতে হবে।
মিশ্র এস্টেটই কারণ হলে সবার জন্য গেটওয়ে নীতি দুর্বল করার বদলে প্রতিটি প্ল্যাটফর্ম আলাদাভাবে সমাধান করুন।
2026 প্রিভিউ প্রত্যাহারের পর Linux
Microsoft-এর Linux প্রত্যাহার নির্দেশনা Linux Azure VPN Client প্রিভিউর প্রত্যাহার তারিখ হিসেবে 31 আগস্ট 2026 দেয়, তাই 2026 সালের নভেম্বর থেকে সেই প্রিভিউ আপনার পিছনে। বিদ্যমান ইনস্টলেশন কাজ চালিয়ে যেতে পারে, কিন্তু সেগুলো আর সমর্থন, আপডেট বা নিরাপত্তা সংশোধন পায় না। পুরোনো Linux ইনস্টলারকে সমর্থিত নতুন ডিপ্লয়মেন্ট হিসেবে দেবেন না। এটি একটি ক্লায়েন্ট প্রত্যাহার, Azure VPN Gateway বা Windows ও macOS ক্লায়েন্টের প্রত্যাহার নয়।
নথিভুক্ত Linux বিকল্প হলো সার্টিফিকেট প্রমাণীকরণসহ OpenVPN ক্লায়েন্ট, অথবা IKEv2 এবং সার্টিফিকেট বা RADIUS প্রমাণীকরণসহ strongSwan। দুটোই ভিন্ন কনফিগারেশন যা সাংগঠনিক অনুমোদন দরকার, পুরোনো Entra প্রোফাইলের নাম বদলে পাওয়া রূপান্তর নয়।
নীতিগত কারণে Entra সাইন-ইন বাধ্যতামূলক হলে মালিককে সমর্থিত প্ল্যাটফর্ম বা অনুমোদিত বিকল্প নকশা বেছে নিতে হবে। এটি একটি সিদ্ধান্ত, কোনো ফাঁকি নয়।
প্রোফাইল তৈরি করুন এবং চারটি যাচাই চালান
সমন্বয় নির্ধারিত হলে নির্ধারিত গেটওয়ে থেকে ক্লায়েন্ট কনফিগারেশন তৈরি করুন, এবং সেই ক্লায়েন্ট ও পদ্ধতির জন্য নথিভুক্ত উপস্থাপনা ইমপোর্ট করুন। সাধারণ OpenVPN ফোল্ডার ও Azure VPN Client XML প্রোফাইল বিনিময়যোগ্য নয়। গেটওয়ে ইচ্ছাকৃতভাবে একাধিক প্রমাণীকরণ ধরন সক্রিয় করলে একটি সংযোগেই সব মিটবে আশা না করে মিলিত প্রোফাইল ও ক্রেডেনশিয়াল পথ বেছে নিন। তারপর এই ক্রমে যাচাইগুলো চালান:
- সমর্থিত ক্লায়েন্ট তৈরি করা প্রোফাইল সম্পাদনা না করেই ইমপোর্ট করে।
- নির্ধারিত পরিচয় সেই প্রোফাইল যে পদ্ধতি প্রত্যাশা করে তা দিয়ে প্রমাণীকরণ করে।
- প্রয়োজনীয় রুট ও রিজলভার নীতি ক্লায়েন্টে দেখা যায়।
- অনুমতিপ্রাপ্ত অ্যাপ্লিকেশন তার নিজস্ব প্রাইভেট রিসোর্সে পৌঁছায়।
সফল ইমপোর্ট প্রমাণীকরণের সামঞ্জস্য বা প্রাইভেট রিসোর্স অনুমোদন কোনোটিই প্রমাণ করে না, তাই ওই চারটি যাচাই আলাদা থাকে।